XSS - פריצה לאתר עם Javascript

תמלול ההרצאה: XSS - פריצה לאתר עם Javascript

הטקסט המלא של הדקות הראשונות בהרצאה «XSS - פריצה לאתר עם Javascript» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בסרט הזה אנחנו נדבר על התקפה מאוד מאוד חזקה שלמעשה 84% מכל הבעיות אבטחה בשנת 2007 כפי שסימנטק דיווחו עליהם היו מהתקפה מסוג cross-site scripting היום אנחנו בדיוק נבין מה זה על איזה עקרונות זה עובד ולמה זה כל כך חזק וכל כך קטלני מה שחשוב זה להבין את הבסיס כי יש הרבה מאוד שימושים ואפשרויות להתקפה הזאת.

2. 00:41

   אז לפני שאנחנו נתחיל לראות את ההתקפה עצמה אנחנו חייבים לדעת כמה דברים בסיסיים. קודם כל אנחנו צריכים לדעת מה זה JavaScript ואנחנו צריכים לדעת מה זה cookies וכל העקרונות האלו ואחרי זה נראה את ההתקפה הזאת איך היא מתבצעת בעצם.

3. 00:59

   זאת התקפה מאוד מאוד מאוד חזקה מאוד. 84% מבעיות האבטחה קשורות אליה באתרי אינטרנט. יפה. אז קודם כל נתחיל ממה זה JavaScript.

4. 01:11

   JavaScript אלו הן פקודות באתר אינטרנט שלא מתבצעות בשרת, שלא מתבצעות בשרת כמו לבדוק שם וסיסמה שהשרת עושה ואומר תקין או לא תקין, אלא הפקודות של JavaScript הן נעשות אצל הלקוח על המחשב על הדפדפן של הלקוח.

5. 01:32

   למעשה אלו הן פקודות ללקוח לביצוע המקומי שלו. לדוגמה, כשאתם לוחצים באתר לפתוח ולסגור רשימת קורסים, אתם רואים הכל פה מתחלף הכל פה משתנה אתם רואים אבל הדף לא נטען מההתחלה לא קופץ לכם כל זה מתבצע מקומית כל הפתיחה והסגירה הזאת מתבצעת מקומית בלי לפנות לשרת התפריט הזה

6. 02:03

   פה בצד ימין. למה התפריט הזה נפתח ונסגר בלי לפנות לשרת? א', כי החוויה של המשתמש הרבה יותר נעימה, שהוא יכול לדפדף מהר בלי לקבל דף חדש ולקפוץ למעלה עוד פעם.

7. 02:17

   תחשבו שאתם איפשהו למטה פה, ועל קליק לפתוח משהו, פתאום אתם קופצים חזרה למעלה, כי כל הדף מגיע מחדש. חוץ מחוויית משתמש, זה גם הרבה יותר מהר.

8. 02:32

   אז אמרנו JavaScript בסופו של יום, אלו הן פקודות, שקיבלתם בתוך הדפדפן שהפקודות האלו מיועדות לביצוע בדפדפן עצמו ולא בשרת. כמו לפתוח לסגור תפריט כמו להביא איזשהו מידע מהשרת ואז להחליף חלקים מהמסך אבל בלי לעשות ריסטארט מחדש לדף אוקיי יפה עכשיו הג'אווה סקריפט הזה נראה תמים מאוד גם אין לו גישה לקבצים בדיסק והוא נראה

9. 03:06

   מאוד מאובטח מאוד תמים אין שום בעיה עם זה. בא סך הכל לעשות נחמד למשתמש שהוא יכול ללחוץ והדברים זזים בלי לפנות לשרת או לפנות לשרת ולהביא חלק קטן מהמידע ולא את כל הדף, כן?

10. 03:24

    תסתכלו איזה יופי. תכף אנחנו נראה איך אפשר לנצל את זה לרעה, את הדבר התמים הזה, כמו שאנשים בשנות ה-80 כשהם עשו את זה היו תמימים לחשוב ולא חשבו על בעיות אבטחה שיהיו כתוצאה מתקן הזה.

11. 03:39

    הבעיה הכי גדולה של JavaScript דרך אגב שהוא יכול לבוא בכל מקום בתוך מסמך הזה שאנחנו מקבלים. זאת אומרת, כשאנחנו מקבלים מסמך להצגה, שזה דף html להצגה, אז JavaScript הזה יכול לבוא בקובץ חיצוני, אתם רואים פה כמו סקריפט וקובץ חיצוני, ואז יש לנו קובץ חיצוני עם כל ה-JavaScript, לדוגמה, אתם יכולים ללחוץ

12. 04:02

    פה ולראות את ה-JavaScript של האתר, אוקיי? והוא יכול גם להיות בתוך הטקסט באמצע, וזה מה שעושה בעיות, שאנחנו שותלים אותו באמצע הטקסט.

13. 04:15

    עוד דקה אתם תראו את זה. אז אמרנו ש-JavaScript זה קוד לביצוע. דרך אגב, אתם יכולים לראות אותו. אם אתם לוחצים F12, אתם לוחצים F12, יש לכם פה סקריפטים.

14. 04:29

    דרך אגב, למי שזה נראה אחרת זה כי התקנתי FireBug. אתם רואים פה למעלה באג הזה? זה נקרא FireBug, תוכנת עזר שאני מאוד אוהב אותה.

15. 04:39

    ואז ב-FireBug, בסקריפטים, וזה קיים דרך אגב בכל הדפדפנים, אתם יכולים לראות את זה. אתם יכולים פה לראות קוד של JavaScript, וממש לעבור שורה שורה בג'אווה סקריפט, לעשות פה ברייק פוינט כמו מתכנתים ולעבור שורה שורה ולראות מה כל דבר עושה, אוקיי?

16. 04:57

    יפה. טוב, אנחנו לא בקורס תכנות כרגע, יש לנו קורס תכנות מלא על ג'אווה סקריפט, כן? יש לנו קורס ג'אווה סקריפט מלא עם עשרות הרצאות, שמי שמתעניין ובסוף ההרצאה אתם תבינו למה בעולם אבטחת מידע חייבים להכיר ג'אווה סקריפט.

17. 05:14

    יש לכם פה עשרות הרצאות על JavaScript, בואו נתקדם. עכשיו, מה זה קוקיס? מה זה קוקיס? לפני שנעבור לעשות, לבצע התקפה, בואו, אנחנו חייבים לדעת מה זה קוקיס.

18. 05:32

    קוקיס למעשה זה משהו קטן, איזשהו מידע קטן, ששותלים אצל הלקוח בדיסק שלו, בארד דיסק שלו, ואז כשהוא ייכנס שוב לאתר אנחנו נדע לזהות אותו בלי לשאול אותו שם וסיסמה או כל מיני פרטים מזהים, אוקיי?

19. 05:52

    אולי אני אראה לכם איפה זה נמצא בארדיסק, אם אתם תיכנסו בארדיסק לתיקיית פרופיל שלכם, יוזרס, אני פה כאדמיניסטרטור עובד, תחת האדמיניסטרטור, תחת התיקייה של הפרופיל שלי יש לי אפליקיישן דאטה, אפי פי דאטה, דרך אגב זה השתנה למי שאחרי אקספי, באקספי זה היה קצת שונה,

20. 06:15

    החל מוויסטה ושבע זה השתנה ובשמונה הם גם שינו את התיקייה, מה שאני מראה לכם זה נכון לוויסטה ושבע בווינדוס שמונה זה זז לתיקי אחרת לא שזה כזה חשוב סתם שתדעו בתוך הפרופיל שלי באפליקיישן דאטה יש רומינג שזה למעשה חלקים של פרופיל שנודדים איתי ממחשב למחשב למקרה

21. 06:36

    שאני עובר מחשבים ויש לי שרת מרכזי פה בתוך הרומינג זה בתוך מייקרוסופט בתוך ווינדוס וקוקיז אתם רואים פה קוקיז יופי זה כל מיני אתרים ששתלו אצלי איזשהו קוקי קטן וכשאני אחזור לאותו אתר הוא יזכור מי אני ומה אני בחרתי.

22. 07:00

    מעין מספר מזהה ללקוח או מספר מזהה לסשן הזה, אוקיי? אז לדוגמה כשאני אחזור נניח לפייסבוק, לאתר של פייסבוק, אז הוא לא ישאל אותי שם וסיסמה שוב, הוא יקבל את הקוקי הזה כחלק מתהליך ההתחברות ויגיד אה זה יוני, אין בעיה, זה הפרופיל שלך.

23. 07:22

    בגלל זה בזכות הקוקיז האלו אנחנו יכולים להיכנס בקלות לפייסבוק בלי להקיש שם וסיסמה כל פעם מחדש אוקיי אם אתם רוצים לראות איך נראה קוקי סתם אני פותח סתם קוקי הראשון שאני רואה זה קובץ טקסט אתם רואים קובץ טקסט עם שדה שווה למשהו שדה שווה למשהו יפה אתם יכולים גם לראות פה בדפדפן באופשונס של דפדפן באזור של אבטחה יש לכם אזור ניהול הקוקי גם

24. 07:52

    יש תוכנות שמנהלות לכם את הקוקיז האלו זה כמו פירורים, כן? כמו פירורים של עוגייה. ואז האתר מזהה אתכם לפי הפירורים האלו שהוא השאיר אצלכם במחשב, אוקיי? הנה פה בגוגל, הנה ID כזה וכזה, הנה כרגע ראינו את זה, כן?

25. 08:12

    TM כזה וכזה. עכשיו, מה המשמעות של זה? רק הוא יודע, אוקיי? וזה פג תוקף ב-30 ליולי. נניח שזה הפייסבוק שלכם, נניח שזה חשבון בנק שלכם, או לא משנה, איזשהו פייפאל.

26. 08:25

    תחשבו שאני גונב לכם קוקי, גונב לכם את הקוקי ושם אצלי במחשב. מה יקרה? אם הקוקי הזה פג תוקף רק ב-30 ליולי 2016, אני אוכל להתחזות אליכם באתר הזה, אוקיי? קוקי פג תוקף לפי מה שהמנהל קובע.

27. 08:43

    יפה. לדוגמה, אם אתם תיכנסו לאתר של פרקטיקיו, אתם תקבלו קוקי שמזהה אתכם עד סוף הסשן, עד סוף השיחה. יש קוקי שמזהים אתכם רק עד סוף השיחה.

28. 08:56

    זה לא חייב להיות להרבה זמן, אוקיי? בואו נמצא פה איזשהו קוקי שהוא ממש לטווח קצר. בואו ניכנס לאתר של פרקטי קיו. טוב, תאמינו לי, יש קוקי עד סוף סשן, אפשר לפי זמן לעשות, יש כל מיני סוגי קוקי, אנחנו לא ניכנס לזה עכשיו.

29. 09:15

    הנקודה היא כזאת, שאם אני גונב לכם את הקוקי הזה, אני יכול להתחזות אליכם בלי לדעת את השם והסיסמה, זאת הנקודה המרכזית. זאת אומרת, אם הצלחתי לגנוב קוקי שהוא עדיין בתוקף, אז אני יכול להיכנס לתר הזה, ובלי לשאול שם וסיסמה הוא יחשוב שאני זה אתם אוקיי שאני אני זה מישהו אחר אוקיי יפה אז

30. 09:42

    המטרה אז תכף אנחנו נראה איך אנחנו עושים כל מיני דברים עם זה. אז איך אנחנו את הרעיון התמים הזה של קרוקי ואת הרעיון הזה זה התמים של ג'אווה סקריפט מנצלים לרעה כדי לפרוץ ולא אנחנו אלא אנשים כבר 30 שנה מנצלים את זה.

31. 10:04

    הכי הרבה מכל ההתקפות אני חושב שאני מכיר זה זה ו-SQL, כן? SQL Injection ו-Cross-site Scripting. יופי. אז תראו, בואו נתחיל במשהו פשוט.

32. 10:18

    אז יש לנו פה אתר, אתר שעובד, שאתם כותבים פה נניח איזושהי מילה, נניח bear, הוא עושה לכם חיפוש, מראה לכם פעם עוד.

33. 10:33

    אתם כותבים איזושהי מילה אחרת, לא יודע מה, tree, הוא מחפש לכם איזה עץ, אוקיי? יפה, אתר פשוט, מה יכול להיות פה רע? שום דבר לא רע.

34. 10:46

    והוא עושה חיפוש והכל נראה תמים. יפה, שימו לב מה קורה למעלה. למעלה הוא מעביר לנו פרמטרים, סימן שאלה, פרמטר. search term, אוי, מה עשיתי?

35. 11:02

    זאת אומרת, זאת הכתובת של הדף, אוקיי, זאת הכתובת של הדף, זה רץ אצלי לוקאלית במחשב, אני מריץ את האתר הזה אצלי מקומית. סימן שאלה, זה אומר שמתחילים הפרמטרים.

36. 11:14

    שם של הפרמטר ואז השרת לוקח את ה-search term הזה ומחפש משהו לפי הערך. יפה. בואו תראו, אני יכול להוסיף פה שטרודל ובואו ננסה לעשות message שווה aa שיטת 3a. אני עושה message שווה aa ואני מגלה שפרמטר של a של מסג', פרמטר שקוראים לו מסג', במקרה גיליתי את זה, זה נהוג לקרוא לזה מסג', משתקף, הערך שלו משתקף כאן.

37. 11:52

    זה נקרא השתקפות. אני אומר, רגע, יכול... זאת אומרת, אני כותב פה משהו, זה מגיע לכאן. יפה. יכול להיות שהמפתח של האתר לא דאג לאבטחה כמו שצריך, כי הוא לא למד קורס אבטחת מידע, כי לא משלמים לו על זה שהוא יתחיל להתעכב על כל מיני בדיקות של אבטחת מידע, הוא צריך לעשות אתר מוכן לתת ללקוח לקבל כסף.

38. 12:19

    שימו לב מה אני עושה פה. אני במקום aaa אני כותב פה, אפילו בנוסף, כאילו זה המשך של ההודעה סקריפט ואני מתחיל לכתוב עכשיו פקודות שמיועדות בשפת ג'אווה סקריפט כן ככה מתחילים סקריפט וסוגרים את הסקריפט בסוף ובאמצע כותבים פה בין סקריפט לסקריפט פקודות שמיועדות לדפדפן אז לדוגמה אני אקפיץ הודעה

39. 12:51

    על המסך סתם אני יכול לכתוב המון המון פקודות כל מה שאני רוצה לדוגמה אני יכול טוב תכף תראו, אתם רואים קפצה להודעה בי בי בי, מה זה אומר? זה אומר שאני יכול לשלוח עכשיו את הלינק הזה למישהי או למישהו שמתעניין בעצים או לא משנה במה להגיד לו תקשיב האתר שאתה אוהב

40. 13:20

    תחשבו שזה אתר שהוא אוהב והוא סומך עליו האתר שאתה אוהב במייל אני כותב לו מייל האתר שאתה אוהב יצא בדיוק במבצע על מוצר שאתה אוהב הוא מסתכל על הלינק הוא אומר וואלה זה אתר שאני מכיר נכון אין אין שום בעיה ללחוץ על הלינק הזה אני סומך על האתר הזה.

41. 13:38

    והוא לא קורא פה שיש פה איזשהו סקריפט בתוך הלינק, כן? כי זה לא מעניין אותו. הוא לוחץ על הלינק בתוך המייל שלו, שהמייל פרום שלו, המייל שלו נראה כאילו הוא הגיע מאתר, שזה לא בעיה לזייף כתובת של מייל.

42. 13:52

    תראו את זה בסרטים של קורס אקשיינג' הרצאה ל-SMTP. אין בעיה לזייף כתובת מייל כאילו זה הגיע מאתר, אין בעיה לעשות תוכן של מייל כאילו זה מאתר ולעשות לינק למשהו שאתה אוהב עם הכתובת של האתר.

43. 14:05

    הכל נראה לך תקין. אבל מה פה? בתוך הסקריפט אני כותב לגנוב את הקוקי שלך, פה את הקוד שגונב לך את הקוקי של האתר הזה ושולח אליי למייל, או מעביר לי את זה לאתר שלי.

44. 14:22

    מה יקרה? אתה תלחץ על הלינק התמים באתר שאתה אוהב, בזה שאתה סומך עליו. מה שיקרה שהקוקי שלך יגיע אליי ואני אוכל להיכנס לחשבון ונניח לגנוב לך כסף או לגנוב דמות במשחק שבנית ולמכור אותה למישהו אחר.

45. 14:43

    אתם יודעים, זה מאוד עכשיו ככה, אתם יודעים, בונים דמויות ואז גונבים אותם, או לגנוב לך כסף מתוך קזינו הווירטואלי ומה שאתם רוצים. למעשה, אני יכול דרך רפלקשן, זה נקרא דרך אגב, מי שרוצה לקרוא על זה, מה שאני מסביר לכם זה נקרא נום פרסיסטנטס או רפלקטד בהתקפה מהסוג הזה שזה הסוג הראשון עוד מעט נדבר על פרסיסטנטס ברפלקטד

46. 15:11

    שימו לב כל הבעיה פה שבשרת לא מתבצע כלום שרת משהו מקבל הוא משקף את זה באתר זה נראה בסדר תמים עכשיו מה שנשאר לי רק לעשות סקריפט בג'אווה סקריפט או למצוא אחד מוכן שמשרת את המטרה שלי לגנוב לך את הקוקי ואז להיכנס בשם שלך לחשבון הזה דרך אגב האמצעי אבטחה נגד זה קודם כל צריך לוודא שאתם לא משקפים את הג'אווה סקריפט

47. 15:44

    אבל בכל מקרה לדוגמה בשינוי סיסמה באתר אומרים לכם תגיש בכל זאת את הסיסמה הישנה זה אחד מטכניקות האבטחה או שטוב איך לאבטח את זה למתכנתים אנחנו לא נדבר עכשיו בגדול המתכנת צריך לוודא שאיפה שהמידע מהמשתמש לא מעבירים לו ג'אווה סקריפט לא מעבירים לו JavaScript ויש בשביל זה ספריות מוכנות.

48. 16:12

    יופי. אז ההתקפה הזאת נקראת Reflected, כאילו משתקף, ואתה חשוף להתקפה הזאת אם אתה לא מנקה את הקוד, את המידע מהמשתמש, המידע שנקלט מהמשתמש.

49. 16:30

    יפה. עכשיו אנחנו ניקח את זה צעד אחד יותר קדימה למשהו יותר אכזרי. פה, שימו לב, בהתקפה הזאת אני צריך לדעת את כתובת המייל של הנמען ואני תוקף אותו ספציפית.

50. 16:41

    אני שולח לו מייל ומקווה שהוא לחץ על הלינק שלו, נכון? עכשיו, בואו ניקח את זה צעד אחד קדימה, ואיפה, איפה הזה?

51. 16:54

    ונעשה פרסיסטנט, התקפה מסוג פרסיסטנט, היא הרבה יותר אכזרית. מה זה ההתקפה הזאת? שימו לב, יש לי פה, יש לי פה איזה משהו, נניח יש לי פה אתר, אתר שיש פה מקום לכתוב הערות למטה.

52. 17:14

    נניח אני כותב פה איזשהו, אתם רואים product details פרטי מוצר 5 צמיגית ולקוחות יכולים לכתוב הערות לדוגמה סתם very good אוקיי הם יכולים לכתוב כל מיני הערות הם שומרים את ההערות במסד נתונים ואחרי זה לקוח אחר נכנס והוא רואה את ההערות שלך אוקיי יפה מאוד נראה תמים נראה בסדר מה יכול להיות רע מזה נכון מאוד עכשיו שימו לב

53. 17:50

    מה יקרה אם אני במקום וריגוד הזה הכניס פה ג'אווה סקריפט מה יקרה תסתכלו מה שיקרה זה דבר כזה שג'אווה סקריפט הזה ייכנס לדאטה בייס יישמר בטבלה הזאת שנקראת פיקצ'ר קומנטס אתם רואים יש פה טבלה במסד נתונים שנקראת פיקצ'ר קומנטס הערות הפרודקט קומנטס סליחה אתם רואים פה אתם רואים פרודקט קומנטס אני כבר פתחתי את זה

54. 18:16

    ומה שיקרה זה שכל ההערות הנה וריגוד שלנו נשמר כאן יישמר פה קוד ג'אווה